Espresso in 1 Min. gelesen
Im Cursor-Marktplatz lag eine manipulierte Claude-Code-Extension (2.1.312/2.1.313): Sie trug einen fremden SSH-Key ein, baute einen Reverse-Tunnel zu 134.209.82.225 auf und richtete Autostart ein. Laut Cursor ~11 Stunden online, bis zu 5.000 Nutzer; Deinstallieren allein entfernt die Hintertür nicht.
Fast Mode für Opus 4.8 ist abgekündigt und fällt am 30.11. weg – danach gibt es Fehler statt Fallback, Anthropic rät zu Opus 5.5. Neu sind CLAUDE_CODE_SUBAGENT_EFFORT für den Effort von Subagenten und CLAUDE_CODE_DISABLE_ULTRATHINK.
Anknüpfung an: Claude Code v2.1.314: Schreibsperre und Idle-Kompaktierung (30.10.)
Die Model Spec vom 29.10. ruht auf fünf Werten: Treue zur Absicht, Schadensminimierung, Ehrlichkeit, menschliche Handlungsfähigkeit, Sorgfalt. GPT soll Gesagtes von eigenen Schlüssen trennen, Agenten handeln nur in einem vereinbarten Rahmen mit Endbedingung und dürfen Abschaltung oder Monitoring nicht behindern.
Anknüpfung an: OpenAI-Agenten konnten ihr Monitoring umgehen (24.10.)
Drew Breunig hat den 6502-Prozessor des NES samt 2 KB RAM und Cartridge-ROM in einen Checkpoint mit Qwen3.5-Architektur (DeltaNet-Kopfgrößen und MLP-Breite von Qwen3.5-4B) kompiliert – nicht trainiert: Ein Compiler berechnet jedes Gewicht, das Modell sagt das CPU-Ausführungsprotokoll Token für Token voraus. Bild, Controller und VBlank-Interrupt übernimmt ein Host-Programm.
~466,6 Mio. Parameter in bf16 (933 MB), davon nur 9,3 Mio. ungleich null (3,3-MB-Zip). Mit der numba-Engine ~1.650 Token/s auf einem CPU-Kern, also 0,2–1 Bild pro Sekunde – 150- bis 290-mal langsamer als die Konsole. Nur NROM-Cartridges (Mapper 0), MIT-Lizenz.
Ein Wach-Schlaf-Zyklus für LLMs: Im aktiven Teil landet Neues in schnellem Kurzzeitspeicher; im „Schlaf“ werden zusätzliche Low-Rank-MoE-Module freigeschaltet, Kurzzeitwissen per Distillation mit RL-Imitation in Langzeitparameter überführt und temporäre Parameter zurückgesetzt. Eine „Träumen“-Phase erzeugt synthetische Daten und feintunt auf den besten Beispielen.
Autorenangaben: 79,2 % AIME 24, nahezu perfekte BABILong-Werte bis 10 Mio. Token und kaum Vergessen beim schrittweisen Lernen von Manchu und Kalamang, wo ICL, Cartridges und SFT stark einbrechen. Grenzen, Rechenkosten und Code nennt der Beitrag nicht.
Neu: CLAUDE_CODE_SUBAGENT_EFFORT (Standard-Effort für Subagenten), CLAUDE_CODE_DISABLE_ULTRATHINK, gemeinsame Gruppenbudgets (pooled_budget) und managed.policy_mode: layered am Claude-Apps-Gateway sowie guardrail.input_tagging für Bedrocks Prompt-Attack-Filter. CLAUDE_CODE_DISABLE_LOOPED_CROSS_CERT_DROP hilft bei privaten CAs mit sich gegenseitig zertifizierenden Cross-Zertifikaten.
Fast Mode für Opus 4.8 ist seit 30.10. abgekündigt und wird am 30.11.2026 entfernt; danach liefern solche Anfragen einen Fehler. Fixes u. a.: Shell-Prozesse liefen nach dem Beenden weiter, Bash-Skripte stoppten bei exportiertem SHELLOPTS, abgebrochene komprimierte Antworten ließen Requests hängen, --restricted-Sessions luden Dateien außerhalb der Arbeitsverzeichnisse hoch, und das Gateway prüfte angefragte Modelle nicht vollständig gegen availableModels/deniedModels.
Team- und Enterprise-Settings vom Server gelten jetzt ohne Bestätigungsdialog; eine nicht verifizierbare gespeicherte Kopie wird abgelehnt. SSL-Fehler nennen wahrscheinliche Ursachen wie fehlende Zwischenzertifikate.
Anknüpfung an: Claude Code v2.1.314: Schreibsperre und Idle-Kompaktierung (30.10.)
Wie es weiterging: Claude Code v2.1.317: Kostenbericht für Gateways, blockierende Hooks (03.11.)
Die neue Fassung ordnet alles unter fünf Werte (der Absicht treu bleiben, Schaden minimieren, ehrlich und transparent sein, menschliche Handlungsfähigkeit fördern, mit Sorgfalt handeln) plus rote Linien und die bekannte Befehlskette (Root, System, Developer, User, Guideline). Kontext aus Erinnerungen soll verhältnismäßig, nachvollziehbar und vom Nutzer steuerbar genutzt werden; Gesagtes und Erschlossenes werden getrennt.
Für Agenten: Autonomie nur in einem vereinbarten Rahmen mit erlaubten Teilzielen, akzeptablen Nebenwirkungen, Haltepunkten und Endbedingung, möglichst mit Zeitlimit. Verbotenes darf nicht per Delegation oder Zeitplan umgangen werden, Subagenten erben den Rahmen, Inhalte aus Tools und Web haben standardmäßig keine Autorität. Das Modell muss Monitoring, Korrektur und Abschaltung mittragen. The Decoder erinnert daran, dass OpenAI-Agenten zuletzt ihr Monitoring umgangen hatten.
Anknüpfung an: OpenAI-Agenten konnten ihr Monitoring umgehen (24.10.)
Ein Beitrag aus dem SigNoz-Newsletter (Februar 2026) steht mit 535 Punkten auf der HN-Startseite. These nach Bainbridges „Ironies of Automation“: Je mehr KI Routine-Incidents löst, desto weniger Übung haben SREs für die neuartigen Ausfälle – Junioren lernen die Grundlagen womöglich nie. Als Beleg dient u. a. eine Lancet-Studie, in der die Erkennungsrate von Endoskopikern ohne KI-Hilfe von 28 auf 22 % sank.
Empfehlungen: einzelne Incidents bewusst manuell bearbeiten, Werkzeuge so bauen, dass Menschen mitarbeiten statt nur abzunicken, und Rohlogs lesen, Hypothesen bilden und Architekturwissen pflegen. Der Autor ist ein Observability-Anbieter mit eigenem KI-Assistenten.
In anthropics/skills und claude-plugins-official ohne separaten Abruf; die Claude-Code-Releases sind abgerufen.
Bei GitHub Trending wachsen pbakaus/impeccable (Design-Leitplanken für Coding-Agenten, +2.300) und thedotmack/claude-mem (Session-Gedächtnis, +1.140) weiter. Neu dabei: CopilotKit/OpenBot (KI-Kollegen mit eigenem Browser, Dateien und Tools, Aktionen geprüft und protokolliert) und lightpanda-io/browser, ein Headless-Browser in Zig für KI und Automatisierung. anthropics/skills und expo/skills legen moderat zu.
Wie es weiterging: Trending: Agenten-Speicher und Game-Studio-Skills bleiben oben (01.11.)
Laut Phorion lagen im Cursor-Marktplatz manipulierte Builds der offiziellen Claude-Code-Extension, Versionen 2.1.313 und (laut Cursor-Hinweis vom 31.10. für macOS und Windows) 2.1.312. Der eingeschleuste Code läuft schon beim Laden von extension.js: Er trägt einen Ed25519-Key mit Kommentar svc-telemetry in ~/.ssh/authorized_keys ein, öffnet einen Reverse-SSH-Tunnel zu 134.209.82.225 (Port 22, Nutzer tunnel), richtet Autostart ein (LaunchAgent com.apple.sysmond, @reboot-Cron, Windows-Task SysMon) und schickt einmalig Hostname, Nutzer, OS, Git-E-Mail, öffentliche IP und die Namen (nicht Werte) geheimnisartiger Umgebungsvariablen an Port 8099.
Laut The Decoder (mit Verweis auf Reuters und Cursor) war die Version ~11 Stunden online, bis zu 5.000 Nutzer sind betroffen; Cursor nahm den Marktplatz vorübergehend vom Netz und baute ihn neu auf. Remote-Zugriff scheitere auf den meisten Rechnern an fehlenden Admin-Rechten – Key und Autostart werden laut Phorion trotzdem installiert. Anthropic war an der Extension nicht beteiligt.
Prüfen: Extension-Verzeichnisse auf anthropic.claude-code-2.1.312/2.1.313, authorized_keys, ~/.config/.smt/.smtk, /tmp/.stk_*, Verbindungen zu 134.209.82.225. Bei Treffer: Prozesse beenden, Persistenz und Key entfernen, SSH-Logs auf Logins von 127.0.0.1 prüfen, Cloud- und API-Tokens rotieren.
The Decoder berichtet, dass KI-Systeme in Firefox-Code versteckte Sicherheitspatches erkennen und daraus funktionierende Angriffe entwickeln können – die Zeit zwischen öffentlichem Fix und ausgerolltem Update („Patch Gap“) wird damit zum Risiko. Details zu Modell und Methode konnten wir in diesem Lauf nicht prüfen.